DDoS-Schutz bei CTS-Hosting: So läuft die Abwehr ab

Bei einem DDoS-Angriff (Distributed Denial of Service) schicken tausende gekaperte Geräte gleichzeitig Datenverkehr an ein Ziel, bis Leitung oder Server nicht mehr hinterherkommen. Für dich als Kunde zählt am Ende nur eins: Dein Dienst soll erreichbar bleiben. Hier zeigen wir, wie unser Schutz dafür sorgt.

In drei Schritten zum sauberen Traffic

• Erkennen: Eingehender Traffic wird laufend auf Auffälligkeiten geprüft, etwa auf ungewöhnliche Paketraten, Protokollmuster und Verbindungsverhalten. Anomalien erkennen wir in unter einer Sekunde.
• Filtern: Die Abwehr startet vollautomatisch, ohne dass jemand eingreifen muss. Angriffspakete werden direkt im Datenpfad verworfen, legitime Verbindungen laufen ohne Umleitung weiter.
• Normalisieren: Nur sauberer Traffic erreicht deinen Server. Ist der Angriff vorbei, kehrt der Datenverkehr automatisch in den Normalzustand zurück.

Zwei Ebenen, zwei Arten von Angriffen

Angriffe auf Netzwerkebene (Layer 3/4) wollen vor allem Bandbreite und Verbindungstabellen überlasten. Dazu gehören UDP-Floods, SYN-Floods, ICMP-Floods und DNS-Amplification, bei der kleine gefälschte Anfragen bis zu 70-mal größere Antworten auf das Ziel lenken. Diese Angriffe wehren wir ab, bevor sie deinen Server erreichen.

Angriffe auf Anwendungsebene (Layer 7) sehen dagegen aus wie normale Besucher: massenhafte HTTP-Anfragen gegen Webseiten oder APIs oder langsame Verbindungen wie bei Slowloris, die den Verbindungspool eines Webservers blockieren. Hier helfen Rate-Limiting und Verhaltensheuristiken, die echte Nutzer von Bots unterscheiden.

Was du selbst tun kannst

Unser Schutz fängt den Großteil ab, aber ein gut eingestellter Server macht Angriffe zusätzlich wirkungslos. Ein paar Grundregeln für Linux-Server:

• Nur benötigte Ports öffnen und alles andere per Firewall sperren (zum Beispiel mit ufw oder nftables).
• SYN-Cookies aktivieren, damit halboffene Verbindungen den Server nicht lahmlegen.
• Im Webserver Anfragen pro IP begrenzen, zum Beispiel mit limit_req in nginx.
• Dienste wie Datenbanken oder RCON nie offen ins Internet stellen, sondern nur lokal oder per VPN erreichbar machen.

sysctl net.ipv4.tcp_syncookies
echo 'net.ipv4.tcp_syncookies = 1' | sudo tee /etc/sysctl.d/90-syncookies.conf
sudo sysctl --system

Ehrlich gesagt

Keinen Schutz gibt es unbegrenzt. Angriffe, die über die technische Schutzkapazität hinausgehen, sind deshalb in unserem SLA ausgenommen. Wenn dein Dienst trotz Schutz nicht erreichbar ist, schau zuerst auf status.cts-hosting.com und melde dich dann mit Uhrzeit und betroffener IP beim Support.